[9]CVE202451479 Next.js授權繞過漏洞影響數百萬開發人員 ^简体

全球數百萬開發人員使用的流行 React 框架 Next.js 最近披露了一個安全漏洞，該漏洞可能允許未經授權訪問敏感的應用程序數據。

該漏洞被追蹤爲 CVE-2024-51479，CVSS 得分爲 7.5，由 IERAE 的 GMO Cybersecurity 的 tyage 發現。該漏洞影響 Next.js 9.5.5 至 14.2.14 版本。

該漏洞源於 Next.js 中間件中的授權繞過問題。正如安全公告中所描述的，“如果 Next.js 應用程序在中間件中基於路逕名執行授權，那麽對於直接位於應用程序根目錄下的頁麪，這種授權就有可能被繞過。”

從本質上講，這意味著攻擊者有可能在未經授權的情況下訪問存在漏洞的 Next.js 應用程序根目錄下的頁麪，即使這些頁麪應該受到授權檢查的保護。

考慮到 Next.js 的廣泛使用，該漏洞的影響是巨大的。許多知名公司和組織的網絡應用程序都依賴 Next.js，這可能會暴露敏感的用戶數據和業務信息。

幸運的是，Next.js 團隊已在 14.2.15 及更高版本中解決了 CVE-2024-51479 漏洞。強烈建議開發人員立即將其 Next.js 應用程序更新到最新版本。

對於使用 Vercel（創建 Next.js 的平台）的用戶，無論 Next.js 版本如何，該漏洞都已被自動緩解。這爲托琯在 Vercel 上的應用程序提供了額外的安全保護。

Next.js團隊感謝tyage負責任地披露了該漏洞，使他們能夠在該漏洞被廣泛利用之前解決該問題竝發佈補丁。

[來源: 安全客]